CVE-2026-3854

सारांश

GitHub Enterprise Server में विशेष तत्वों के अनुचित न्यूट्रलाइज़ेशन (improper neutralization of special elements) की एक भेद्यता की पहचान की गई थी, जिसने किसी रिपॉजिटरी तक push एक्सेस रखने वाले हमलावर को इंस्टेंस पर रिमोट कोड एक्सेक्यूशन (remote code execution) प्राप्त करने की अनुमति दी। git push ऑपरेशन के दौरान, उपयोगकर्ता द्वारा प्रदान किए गए push option मानों को आंतरिक सेवा हेडर में शामिल करने से पहले ठीक से सैनिटाइज़ नहीं किया गया था। चूंकि आंतरिक हेडर प्रारूप एक डिलीमीटर वर्ण का उपयोग करता था जो उपयोगकर्ता इनपुट में भी दिखाई दे सकता था, एक हमलावर क्राफ्टेड push option मानों के माध्यम से अतिरिक्त मेटाडेटा फ़ील्ड इंजेक्ट कर सकता था। यह भेद्यता GitHub Bug Bounty प्रोग्राम के माध्यम से रिपोर्ट की गई थी और इसे GitHub Enterprise Server संस्करणों 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7 और 3.19.4 में ठीक कर दिया गया है।

• CVE-2026-3854अनुसंधान

  # CVE-2026-3854 का तकनीकी विश्लेषण: git push में हेडर इंजेक्शन के माध्यम से GitHub RCE यह CVE-2026-3854 का तकनीकी विश्लेषण है, जो git push में हेडर इंजेक्शन के माध्यम से GitHub पर रिमोट कोड एक्ज़ीक्यूशन (RCE) है, जिसमें भेद्यता, शोषण तकनीक और शमन उपायों की व्याख्या की गई है।

• ghe-push-option-rce-scannerस्कैनर

  स्कैनर: CVE-2026-3854 GitHub Enterprise Server प्री-ऑथ RCE Push Option Injection के माध्यम से — Python चेकर (CISA KEV)